为什么默认情况下不包括JCE Unlimited Strength？

Question

设置

• Java不提供对JCE Unlimited Strength Policy Files的开箱即用支持
• 这可以防止用户使用AES-256，这是广泛使用的加密标准的最大密钥大小
• 不包括政策文件会导致许多问题：
  • Unexpected exceptions
  • Unsatisfying workarounds：
    • 只需安装它们
    • 使用其他实现
    • 使用可能违反Java许可协议的反射
  • Breakage after JRE updates
  • Confusion after installation
  • And more!
• 所有这些噪音导致破坏和/或错误的程序

问题

• 为什么这些不像黑羊一样被提供和对待？

Answer 1

• 事实证明，它不是严格的加密出口法律，而只是no one got around to it yet。
• 事实上，it's been planned for a long time不必跳过这些箍。
• 在Java 9中，仪式将缩小为one-liner：Security.setProperty("crypto.policy", "unlimited");

Answer 2

现在JDK中默认启用无限加密

JDK使用Java Cryptography Extension（JCE）管辖权策略文件来配置加密算法限制。以前，JDK中的Policy文件限制了各种算法。此版本附带有限和无限制的管辖区策略文件，默认值为unlimited。这种行为可以通过新的“密码策略”来控制。在/lib/java.security文件中找到的安全属性。有关此属性的更多信息，请参阅该文件。

请参阅：https://plugins.jetbrains.com/plugin/6954-kotlin

Answer 3

美国对加密技术的出口有限制：

https://en.wikipedia.org/wiki/Export_of_cryptography_from_the_United_States

他们过去非常严格 - 密码学被归类为弹药，你只能从美国和其他白名单国家下载全功能产品。

从那时起，限制已经缓解了很多，但有些仍然存在，并且全力JCE不能像JRE一样自由分布在各处，所以它是一个单独的包。